AI 취약점 스캐너와 제로데이: S.A.T.A.N이 알려준 이중용도 기술의 교훈

핵심 메시지

• AI 모델이 주요 운영체제와 웹 브라우저에서 제로데이 취약점을 찾고 익스플로잇까지 만들 수 있게 됐으며, 오픈소스 OpenBSD에서 27년간 숨어 있던 버그를 거의 즉시 찾아낸 사례가 있다.
• 30년 전 최초의 자동 취약점 평가 도구 중 하나였던 S.A.T.A.N은 '너무 위험하다'는 논쟁을 불렀지만, 오늘날 취약점 스캐너는 보안의 필수 도구가 됐다. 같은 기술이 방어와 공격 양쪽에 쓰이는 이중용도라는 점이 핵심이다.
• 위험은 버그가 '발견'된 시점부터 '패치가 적용'되기 전까지의 구간에서 가장 크며, 책임 있는 공개(responsible disclosure)와 보안을 개발에 녹인 DevSecOps가 그 위험을 줄이는 길이다.
• 모질라는 AI 모델을 활용해 파이어폭스 150에서 271개의 취약점을 수정했다. 방어 측 역시 AI를 무기로 쓰고 있으며, 결국 'AI 대 AI'의 경쟁이라는 것이다.

쉽게 이해하기

AI는 이제 수천 개의 제로데이 취약점을 찾아낼 수 있다. 제로데이란 아직 패치가 없어 공격자가 악용할 수 있는 버그를 말한다. 최근 발견된 한 사례는 보안성으로 이름난 오픈소스 운영체제 OpenBSD에 있었고, 무려 27년간 사람의 눈을 피해 숨어 있었다. 발표자는 이런 흐름이 종말처럼 보일 수 있지만, 사실 30년 전부터 이어진 추세의 연장일 뿐이라고 말한다.

그 출발점으로 영상은 S.A.T.A.N을 소환한다. 'System Administrator Tool for Analyzing Networks'의 약자인 이 도구는 댄 파머와 비체 베네마(전직 IBM 직원)가 만든 초기 자동 취약점 평가 도구 중 하나로, 네트워크를 점검해 어느 시스템이 약한지 알려줬다. 관리자는 이를 방어 강화에 쓸 수 있었지만, 공격자에게는 침입 경로를 찾는 도구가 될 수도 있었다. 선악 양쪽에 쓰일 수 있는 이중용도였고, 하필 'S.A.T.A.N'이라는 이름까지 더해져 큰 논란을 불렀다.

발표자는 위험을 시간 축 위에 그린다. 버그가 도입될 때는 위험이 거의 없다가, 발견되면 위험이 오른다. 소수만 알면 위험은 천장까지 치솟고, 선의의 발견자가 벤더에 알리면 그나마 낮다. 이후 버그가 공개되면 누가 알렸든 전 세계가 알게 돼 위험이 높아지고, 패치가 제공되고 실제로 적용돼야 비로소 위험이 내려간다. 따라서 진짜 위험 구간은 '발견'과 '패치 적용' 사이다.

대응책으로는 오래된 관행인 책임 있는 공개가 제시된다. 취약점을 찾으면 먼저 벤더에 알리고 30~90일의 유예를 줘 패치를 만들게 하는 방식이다. 전체 노출을 막으면서도 정해진 기한이 벤더에 수정 압박을 준다. 또한 개발과 운영(DevOps) 사이에 보안을 끼워 넣어 DevSecOps로 바꾸고, 어떤 코드도 AI 점검을 거치지 않고는 나가지 못하게 하자고 제안한다. 다만 AI 모델 소스가 유출되면 WormGPT처럼 가드레일 없는 변종이 나올 수 있다는 우려도 함께 짚는다.

비관만 할 일은 아니다. 모질라는 AI 모델을 활용해 파이어폭스 150에서 271개의 취약점을 고쳤다고 밝혔다. 방어 측이 이 기술을 잘 쓴 결과 그만큼의 버그가 악용되지 않게 된 것이다. 모질라는 '결함은 유한하며, 우리는 그것을 모두 찾아낼 수 있는 세계로 들어서고 있다'고 평했다. 발표자는 제로데이의 종말까지 단언하진 않지만, 제대로만 하면 처음엔 무섭게 보이는 도구가 더 많은 사람의 손에서 우리를 더 안전하게 만들 수 있다고 정리한다.

주요 인사이트

• 기술 자체에는 선악이 없다. 같은 AI 취약점 스캐너라도 방어자가 쓰면 약점을 메우고, 공격자가 쓰면 침입에 활용한다. 결국 '누가, 무슨 의도로' 쓰느냐가 갈림길이다.
• 한 번 세상에 나온 기술은 되돌릴 수 없다. 이미 여러 AI 벤더가 이 분야를 발전시키고 있고 모델 유출 가능성도 있는 만큼, 막기보다 더 잘 활용하는 쪽이 현실적인 전략이다.
• 위험은 취약점의 존재 자체보다 '발견 이후 패치 적용 전'의 시간 길이에 달려 있다. 패치를 빠르게 적용하는 운영 역량이 보안의 핵심이다.
• AI가 취약점을 찾는 속도가 압도적으로 빨라진 것은 양과 속도의 변화이지 본질의 변화는 아니다. 정보기술 역사에서 반복돼 온 흐름의 가속판이라는 관점이다.

자주 묻는 질문

관련 AI 소식